クラウドストライクが Windows システムに大混乱を引き起こした原因を公式に説明

先週、推定 850 万台の Windows コンピュータが、問題のあるソフトウェア アップデートの影響を受けました。 クラウドストライク ファルコンこれにより、これらの影響を受けるシステムで BSOD (ブルー スクリーン) が発生し、「csagent.sys (PAGE_FAULT_IN_NONEPAGED_AREA)」エラー メッセージが表示されます。 デルタ航空などの航空会社は数百便の欠航を余儀なくされるなど、影響は軒並み出た。

の Crowdstrike Falcon センサー SOAR (Security Orchestration, Automation and Response) は、マルウェアやさまざまなサイバー攻撃を防ぐことを目的とした同社のエンドポイント セキュリティ ソリューションです。

このような大規模な障害から回復するのは簡単ではないことを認識し、 マイクロソフト は、回復ツールを公開する前の暫定ソリューションとして、ビジネスおよびエンタープライズ システムを以前の運用時点にロールバックすることに関するガイダンスに言及しました。

CrowdStrike は、この問題に対処するための包括的なソリューションも提供しました。 その後、同社は新しいサポートページを掲載しました。修復とガイダンスハブ」では、IT 管理者とシステム管理者が必要なものをすべて 1 か所で見つけられるように、問題に対処するためのさまざまなポイントを説明しました。

クラウドストライクはまた、影響を受けたシステムの復旧を迅速化するために開発をテストしている新しい技術も発表した。 サイバーセキュリティ会社は今回の事件を受けて予備的なレビューを発表した（事後予備調査 – PIR) 修復とガイダンス ハブのページで世界規模の障害について説明し、何が起こったかを詳しく説明しています。

簡単に言うと、問題は、問題のあるテンプレート タイプを使用した迅速な応答コンテンツ更新でした。 プロセス間通信 (IPC)、テスト中に誤って検証されました。 本質的に、悪い IPC が結果として生じる混乱を引き起こします。

どうしたの;

2024 年 7 月 19 日金曜日、協定世界時 04:09 に、CrowdStrike は通常業務の一環として、潜在的な新しい脅威手法に関するテレメトリを収集するために、Windows 上のセンサーのコンテンツ構成アップデートをリリースしました。

対象となるシステムには、センサー バージョン 7.11 以降を搭載し、2024 年 7 月 19 日金曜日 04:09 UTC から 2024 年 7 月 19 日金曜日 05:27 UTC までの間にオンラインであり、更新プログラムを受信した Windows ホストが含まれます。 Mac および Linux コンピューターは影響を受けませんでした。

コンテンツ更新のバグは、2024 年 7 月 19 日金曜日の 05:27 UTC に修正されました。 この時間以降に起動されたシステム、またはウィンドウ中に接続されなかったシステムは影響を受けませんでした。

何がうまくいかなかったのか、またその理由は何ですか?

CrowdStrike は、センサーにセキュリティ コンテンツ構成の更新を 2 つの方法で提供します。センサーとともに直接送信されるセンサー コンテンツと、運用速度で変化する脅威の状況に対応するように設計された Rapid Response コンテンツです。

金曜日の問題には、未検出のバグを伴うコンテンツ更新の迅速な対応が含まれていました。

2024 年 7 月 19 日に何が起こったのでしょうか?

2024 年 7 月 19 日に、2 つの追加の IPC テンプレート インスタンスがデプロイされました。 コンテンツ バリデーターのエラーにより、問題のあるコンテンツ データが含まれているにもかかわらず、2 つのテンプレート インスタンスのうち 1 つが検証に合格しました。

タイプ標準の最初の展開前 (2024 年 3 月 5 日) に実行されたテスト、コンテンツ バリデータで実行されたチェックの信頼性、および IPC 標準の以前のインストールの成功に基づいて、これらのケースは運用環境に展開されました。

センサーから取得されてコンテンツ インタプリタにロードされると、チャネル ファイル 291 の問題のあるコンテンツが境界外のメモリ読み取りを引き起こし、例外が発生しました。 この予期しない例外は正常に処理できず、Windows OS クラッシュ (BSOD) が発生しました。。

[via]